SSH-Brute-Force-Attacken laufen auf jedem öffentlichen Server im Dauerbetrieb. Der Großteil der Linux-Server setzt standardmäßig auf Passwörter oder statische SSH-Keys – beides hat bekannte Schwächen.
Passwörter sind durch Credential-Stuffing und GPU-Cluster in Minuten geknackt, statische Keys bleiben unverändert, bis jemand sie manuell rotiert.
admindocs.de/de/serverumgebung…
#linux #sysadmin #linuxsecurity #ssh #fido2 #yubikey #crowdsec #linuxadmin #devops #ubuntu
https://media.ccc.de/v/5102-fido2-tokens-in-practiceUsing FIDO2 for wider security tasks in OpenSUSEFIDO2 tokens have thus far done a good job in improving a...openSUSE (YouTube)
This #Yubico #YubiKey Standard from approximately 2012 was on my personal key ring ever since on a daily basis. It has been my first FIDO2 token.
It now ceased to work after approx. 14 years as it's no longer recognized by a computer when plugged in.
Fortunately, it's been mostly replaced by a newer key months ago. So no data loss. Furthermore, I always had a second token that was registered with the same services anyway.
That's my personal data point for durability of #FIDO2 #security hardware tokens. Not bad, I'd say. 👍️
I still prefer FIDO2 HW tokens over #passkeys because HW tokens are not prone to #phishing: karl-voit.at/FIDO2-vs-Passkeys… (German)
#2FA #MFA #securitytokens #publicvoit #20241005_FIDO2VsPasskeys
Ist vermutlich eine Option, wenn Folgendes aus Gründen nicht geht:
#FIDO2 HW Token (immer phishingsicher)
#Passkeys (oft phishingresistent aber nicht immer dank Vertretungsfeatures usw.)
PW-Manager mit Browser-Addon (berücksichtigt auch den URL)
PW auf Zettel aufschreiben (eesy ist im geteilten Büro wohl unpraktikabel)
... sind allesamt meistens sicherer als #eesy.
Aber cooles Konzept für Menschen, die mit nur 11 Passwörtern auskommen und eesy überall dabeihaben können, wo #Passwörter eingegeben werden müssen.
Sorry @bsi , wird auch bei Wiederholung nicht besser. #Passkeys sind fast immer besser als #Passwörter aber spätestens seit der Einführung von Vertreterprozessen und ggf. auch Backupsync-Prozessen gibt's wieder Raum für #Phishing-Attacken.
Das Problem dabei ist, dass für die Bequemlichkeit wieder mal #Sicherheit geopfert wird.
Wer wirklich sichergehen möchte, braucht ein #FIDO2 Hardware Token, wo diese Prozesse zum Auslesen der Geheimnisse nicht funktionieren.
Nochmals: Passkeys ist fast immer besser als Passwörter aber der absolute Schutz gegen Phishing ist nicht überall mehr gegeben und somit empfinde ich die Behauptung als schlecht für unsere Profession und auch nicht hilfreich für die Sensibilisierung.
One thing I didn't mention, though: I have various models (YubiKey 5 Series and YubiKey Security Key in both USB-A and USB-C). Whether a given key actually works for FIDO2 or U2F authentication depends on a lot of factors, including in particular the navigator used (Firefox desktop vs. Firefox mobile, Chromium...) and whether the key is used via NFC or via USB-A or USB-C. This can be very stressful if the authentication is more than experimenting for you, and if you don't have a known-good, working combination with enough redundancy.
When I said “no problem so far”, I meant no obviously-hardware problem and no “key used to work but doesn't anymore”. However browser software support and hardware/software compatibility can't be ignored if you rely on the keys!
#YubiKey #FIDO2 #U2F #SecurityKeys
Ich habe mal versucht, #Passkeys und #FIDO2 zusammenzufassen: karl-voit.at/FIDO2-vs-Passkeys…
Passkeys sind nicht in allen Fällen phishingsicher, FIDO2 wird weiterhin unterschätzt und Passwörter sind so gut wie immer schlechter, #Passwortmanager kompensieren Teile davon.
This week in #FDroid (TWIF) is live since yesterday:
* #EU #DMA for you and me
* @mimi89999 gives us a reason to activate #NFC #Passkeys #FIDO2
* get the app phone manufacturers hate: #CircleToSearch
* #PeerTube is ready for creators
* #QUIK #SMS got a new appid, did you switch yet?
+ 19 new apps
& 160 updates
- 2 app archived
Touch that special place: f-droid.org/2025/12/18/twif.ht…
This Week in F-Droid TWIF curated on Thursday, 18 Dec 2025, Week 51 Community News Tech Policy Press has a series of posts titled “Symposium on Digital Marke...f-droid.org
Sorry, meiner Auffassung nach ist es falsch, dass #Passkeys prinzipiell gegen #Phishing schützen, sofern man nicht nur auf #FIDO2 Hardware-Tokens einschränkt: karl-voit.at/FIDO2-vs-Passkeys…
Wir verspielen unser Renommee, wenn wir das ständig wiederholen.
Ja, ein #Passkey ist vermutlich das Beste, was man aktuell nutzen kann, wenn man kein FIDO2 hat aber es ist leider nicht mehr so, dass in keinem Fall Phishing gemacht werden kann. Bitte lest euch das oben referenzierte Paper durch.
#FIDO2-Schlüssel zum Entsperren während des #Bootens
Anleitung zum Entsperren der #LUKS #Boot #Partition mit einem #FIDO2 Stick auf einer #Fedora #Silverblue Installation.
gnulinux.ch/fido2-schl%C3%BCss…
Anleitung zum Entsperren der LUKS Boot Partition mit einem FIDO2 Stick auf einer Fedora Silverblue Installation.GNU/Linux.ch
@nitrokey Habe mir neulich einen Nitrokey 3 geschenkt, in der Hoffnung auf bequeme, passwortlose Logins mittels Passkey. 🔐
Er kam bereits mit der aktuellsten Firmware, und Weblogin im Browser funktioniert out-of-the-box mit Linux & Firefox. Gut gemacht, danke 👍
sudo ohne Passworteingabe ist schonmal cool! Leider unterstützen die von mir genutzten Webdienste Passkeys anscheinend höchstens als 2. Faktor (wenn überhaupt) 🙄
Aber das wird hoffentlich noch! 🤞
